平成２１年度情報処理軽井沢セミナー

2009年9月1日

シングルサインの基礎知識～ 学術認証フェデレーションについて ～国立情報学研究所
片岡 俊幸

フェデレーションとは？
フェデレーション

SP

電子ジャーナルＣｉＮii、・・

証明書発行
サーバ証明書、・・

アカウント発行
無線LAN、・・・・・ ・・・
e-Learning 学内システム

UPKIフェデレーション運営組織

IdP

大学

大学

認証

大学

・・・

認証
教員

学外、他大学からの自由で安心なアクセス

学会

学会

・・・

SPとIdPが相互に信頼を結んで、学内外からの認証、認可、およびSSOを実現。

認証
学生

学会員

シングルサインオンでスムーズなアクセス

2フェデレーションとは？
フェデレーション

SPSP

SPSP

SP

SP

（大学、商用）（大学、商用）（大学、商用）（大学、商用）（大学、商用）フェデレーション運営組織
フェデレーションの利用規約、システム定義、信頼するCA、利用する属性定義等を定める。

IdP・・・ ・・・

フェデレーションを管理、運営

ポリシー

Metadata
リポジトリ

接続テスト、支援システム

認証局

DS（ディスカバリーサービス）

運用支援

IdP

IdP

IdP

IdP

IdP

（大学）

（大学）

（大学）

（大学）

（大学）

・・・ ・・・
3

学術認証フェデレーション
学術認証フェデレーションの構成
運用フェデレーション
利用

利用

IdP
（大学）

IdP
（大学）
実アカウント

SP

SP（大学、商用）（大学、商用）実アカウント

テストフェデレーション① テストフェデ
レーションで事前接続テストを実施。
②事前接続テス
ト完了後に、運用フェデレーションに接続する。

接続テスト

テストIdP
（大学）

接続テスト

テストSP
（大学、商用）

テスト
アカウント

4

運用フェデレーション
運用フェデレーション（UPKI-Fed）のシステム構成

リポジトリ(upki-repo.nii.ac.jp)

UPKI オープン
ドメイン認証局

DS（ディスカバリ・サービス）(upki-ds.nii.ac.jp)

運用フェデレーション
メタデータ
表示

IdP
（大学）

SP
認証（大学、商用）
アクセス選択5

テスト・フェデレーション
テスト・フェデレーション（UPKI-Test-Fed）のシステム構成

リポジトリ(upki-repo.nii.ac.jp)

TEST-DS(upki-test-ds.nii.ac.jp)

テストフェデレーション
メタデータ(upki-test-sp00.nii.ac.jp)

TEST-SP01(upki-test-sp01.nii.ac.jp)

TEST-SP02

接続テスト

UPKI オープン
ドメイン認証局

TEST-SP00(upki-test-sp02.nii.ac.jp)

受信属性の表示

テストIdP（大学）

テストSP（大学、商用）6

フェデレーション・ポリシー
学術認証フェデレーションでは、下記のポリシーを定めています。
試行運用への参加にあたっては、ポリシーの遵守をお願い致します。
※ Web掲載場所： UPKIイニシアティブ 「学術認証フェデレーション」－「参加」
https://upki-portal.nii.ac.jp/docs/fed/join

UPKI認証フェデレーション試行運用実施要領
システム運用基準ドラフト
属性情報一覧
・ システム運用基準は、現在ドラフトであり、試行運用を実践しながらブラッシュアップを行い、システム運用基準V1.0策定を目指しています。
そのため、各参加機関の状況、視点から様々なご意見をお伺い、また、一緒に協議しながら策定していく予定です。
・ テストフェデレーションでは、できる限り本ポリシーの遵守をお願い致しますが、各システム、および、アカウント等がテスト用であることから、必ずしも全てを遵守する必要はありません。
7

IdP／SPの構築と参加フロー
IdP

構築
・VMイメージ利用
・貴学で構築

サーバ
証明書
設置
発行
申込

発行
申請

学術認証
フェデレーション

構築

サーバ
証明書
発行

メタデータ

接続
テスト

運用フェデ
レーションへの接続

運用

参加申請、
設置申請

設置
申込
メタデータ

テストフェデレーションへの接続

テスト

運用

メタデータ

テスト

テストフェデレーション

UPKI オープン
ドメイン認証局

発行
申請

SP

テストフェデレーションへの接続

運用フェデレーション

参加申請、
設置申請

接続
テスト

運用
メタデータ

運用フェデ
レーションへの接続

運用

8

IdP／SPの構築と参加フロー
IdP

構築
・VMイメージ利用
・貴学で構築テストフェデレーションへの接続

設置申込

学術認証
フェデレーション

テストフェデレーション

UPKI オープン
ドメイン認証局

構築

運用フェデレーションへの接続

運用

参加申請、設置申請

設置申込

SP

接続
テスト

運用フェデレーション

参加申請、設置申請

テストフェデレーションへの接続

接続
テスト

運用フェデレーションへの接続

運用

9テストフェデレーション参加手続き

１．IdP／SP設置申込

参加機関（運用担当者） → 学術認証フェデレーション試行運用PJ事務局
必要項目： 運用担当者 および EntityIDの決定
提出書類： 「IdP設置申込書」（様式１） または 「SP設置申込書」（様式２）
送付先：
NII 基盤企画課 認証担当
送付媒体： エクセルファイル

詳細は、「各種申請書記入のてびき」をご覧下さい。
また、てびき、および各様式は、下記に掲載しております。
UPKIイニシアティブ 「学術認証フェデレーション」－「参加」
https://upki-portal.nii.ac.jp/docs/fed/join
10

IdP設置申込書（様式１記入例）

11

運用フェデレーション参加手続き
１．参加申請参加機関（申請者） → NII学術情報ネットワーク運営・連携本部長
必要項目： 運用責任者の決定
参加機関名称（英語、日本語）の確認
提出書類： 「学術認証フェデレーション試行運用 参加申請書（様式３）
送付先： NII 基盤企画課 認証担当
送付媒体： エクセルファイル および 原紙（押印必要）

２．参加承認通知
NII学術情報ネットワーク運営・連携本部長 → 参加機関（申請者）

３．IdP／SP設置申請
参加機関（運用責任者） → NII学術情報ネットワーク運営・連携本部長
必要項目： EntityIDの決定
提出書類： 「IdP設置申請書」（様式４） または 「SP設置申請書」（様式５）
送付先： NII 基盤企画課 認証担当
送付媒体： エクセルファイル および 原紙（押印必要）
詳細は、「各種申請書記入のてびき」をご覧下さい。
また、てびき、および各様式は、下記に掲載しております。
UPKIイニシアティブ 「学術認証フェデレーション」－「参加」
https://upki-portal.nii.ac.jp/docs/fed/join12

参加申請書（様式３記入例）

13

IdP設置申請書（様式４記入例）

14

IdP／SPの構築と参加フロー
IdP

構築
・VMイメージ利用
・貴学で構築
サーバ
証明書
発行

発行
申請

学術認証
フェデレーション

UPKI オープンドメイン認証局

発行
申請

SP

構築

サーバ
証明書
発行

テストフェデレーションへの接続

接続
テスト

メタデータ

運用

メタデータ

テストフェデレーション

メタデータ

テストフェデレーションへの接続

運用フェデレーションへの接続運用フェデレーション

メタデータ

接続
テスト

運用フェデレーションへの接続

運用

15メタデータの構成
UPKI-Fedメタデータ （XMLファイル）
署名の情報

IdPの情報・IdP１の情報
・IdP２の情報
・・・・・
・・・・・

SPの情報
・SP１の情報
・SP２の情報
・・・・・
・・・・・

・IdP１のID＝entityID・利用する証明書・利用可能なプロトコル
・組織情報
・・・・・

・SP１のID＝entityID・利用する証明書・利用可能なプロトコル
・組織情報・・・・・

16

サーバ証明書取得とメタデータ提出
１．サーバ証明書の取得「UPKIオープンドメイン証明書自動発行検証プロジェクト」（https://upki-portal.nii.ac.jp/docs/odcert）の「利用の手引き」にしたがい、サーバ証明書発行申請を行い、サーバ証明書を取得下さい。

２．メタデータの作成
メタデータのテンプレートをリポジトリ（https://upki-repo.nii.ac.jp/Template）からダウンロードします。 １．で入手した証明書の内容を入れ、サーバ名、組織名等を修正します。
テンプレートは、下記を提供しています。
(1) idp-metadata-template.xml(2) sp-metadata-template.xml

３．メタデータの提出

参加機関（運用責任者、運用担当者） → NII 基盤企画課 認証担当
必要項目： メタデータの作成
提出書類： メタデータファイル
送付先： ヘルプデスク（upki-sso-help＠ nii.ac.jp）
送付媒体： xmlファイル17

学術認証フェデレーションの属性
学術認証フェデレーションでは、下記１６種類の属性を定めています。
テストSPでの表示例
属性

内容

OrganizationName (o)組織名

jaOrganizationName (jao)

組織名（日本語）

OrganizationalUnit (ou)組織内所属名称

jaOrganizationalUnit (jaou)

組織内所属名称（日本語）

eduPersonPrincipalName (eppn)

フェデレーション内のアイデンティティ

eduPersonTargetedID

フェデレーション内のアイデンティティ

eduPersonAffiliation

職種

eduPersonScopedAffiliation

職種（スコープ付き）

eduPersonEntitlement

資格

SurName (sn)

氏名（姓）jaSurName (jasn)

氏名（姓）（日本語）GivenName

氏名（名）jaGivenName

氏名（名）（日本語）displayName

氏名（表示名）jaDisplayName

氏名（表示名）（日本語）

mailメールアドレス

掲載場所： https://upki-portal.nii.ac.jp/docs/fed/technical/attribute18

属性の送信管理
属性管理ファイルのテンプレートを提供しています。
リポジトリ（https://upki-repo.nii.ac.jp/Template）からダウンロード下さい。

IdP
attribute-resolver.xml
属性の定義

属性送信の設定

属性１の定義SP１への送信・LDAPから取得

属性２の定義・固定値の設定

属性３の定義LDAP、DB

attribute-filter.xml

・条件付き設定

属性４の定義・変換して設定・eduPersonEntitlement

SP２への送信・jao
・eduPersonTargetedIDSP

SP３への送信・eduPersonAffiliation

SP２への送信・eduPersonAffiliatioin・eduPersonTargetedID19

Shibbolethとは？

Shibboleth公式ページ： http://shibboleth.internet2.edu/

Shibbolethの情報：•••

https://spaces.internet2.edu/display/SHIB2/Home

米国EDUCAUSE／Internet2にて2000年に発足したプロジェクト
SAML、eduPerson等の標準仕様を利用した、認可のための属性交換を行う標準仕様とオープンソ
フト
最新版はShibboleth V2.2
（SAML2.0ベース、Shib2.0は2008年3月リリース）•

米国、欧州でShibbolethのFederation利用が拡大
20

Shibbolethの特徴（１）属性の分散管理＝Federation
IdP（大学）がIDと属性を管理して、SPがこれを利用（２）SSO
学内外のWebサービスへのシングルサインオンを実現（３）プライバシ保護
ユーザはID、パスワードを常に自学のIdPにのみ入力
IdPは各SPが必要とする最小限の属性のみを送付

SP ・ID・属性

ユーザ

SP ・ID・属性

必要な属性のみ送信

IdP

・ID
・属性

SP

SSO
SP

21

Shibbolethの基本動作
SP （電子ジャーナル、IdP（大学）

e-Learning等）④ 認証アサーション送信

属性の公開制御・ID・属性

送信許可された属性

属性による認可判断⑤ 属性要求⑥ 属性アサーション送信
送信許可
された属性

② リダイレクト③ 認証
ID、パスワードor証明書① アクセス⑦ コンテンツ送信

ユーザ

22

IdP Discovery
SP （電子ジャーナル、IdP（大学）e-Learning等）

属性の公開制御

DS Centric方式

・ID
・属性

属性による認可判断

DS（Discovery Service）

SPリスト

IdPリスト
？

② リダイレクト① アクセスIdP Centric方式

ユーザ

SP Centric方式

23

１－５．Shibbolethの動作
SP （電子ジャーナル等）

IdP （大学）
metadata.xml idpConfig

世界標準SAML2.0によるセキュアな通信

ARP

AAP

spConfig metadata.xml

mapfilter⑤ 属性要求resolverConfigAttribute
Authority

Attribute
RequesterAttribute
Attribute
StoreStore
AuthN
AuthN
StoreStore

policyHandle

Artifact
Resolution
Service⑥ 属性アサーション送信

Assertion
Consumer
ServiceResource
Resource

AuthN
認証アサー
Authority Handle

ション発行

AuthN
System③ 認証

SSO
Service

ACLHandle

Resource
Manager④ 認証アサーション送信？

② リダイレクトDS① アクセス⑦ コンテンツ送信

ユーザ (ブラウザ)24

２－４．FederationとPKI認証局Aの証明書
・・・
IdPの情報・IdPのサーバ証明書
・・・
SPの情報
・SPのサーバ証明書

Federation

認定

メタデータ
metadata.xml

定期的にダウンロード

認証局A
サーバ証明書発行

IdP （大学）認定

定期的にダウンロード

アサーション（認証、属性）の取得
SSL/TLS

XML署名

認証局B
サーバ証明書発行

SP（電子ジャーナル等）

SSL/TLS

SSL/TLS

ユーザ
25

各種情報
１．学術認証フェデレーションに関するWebサイト
UPKIイニシアティブ 「学術認証フェデレーション」
https ://upki-portal.nii.ac.jp/docs/fed

２．ポリシー、申請書
UPKIイニシアティブ 「学術認証フェデレーション」－「参加」
https ://upki-portal.nii.ac.jp/docs/fed/join

３．IdP、SP構築ガイド
UPKIイニシアティブ 「学術認証フェデレーション」－「技術ガイド」
https ://upki-portal.nii.ac.jp/docs/fed/technical

４．IdP構築用VMWareServerイメージ
UPKIイニシアティブ 「学術認証フェデレーション」－「技術ガイド」－「IdP構築関連ファイル」
https ://upki-portal.nii.ac.jp/docs/fed/technical/idp/files

５．テンプレート（メタデータ、IdP属性管理）
学術認証フェデレーションのリポジトリ
http ://upki-repo.nii.ac.jp/Template/index.html

６．情報交換メーリングリスト（アーカイブ）
UPKIイニシアティブ 「学術認証フェデレーション」－「情報交換ML」
https ://upki-portal.nii.ac.jp/docs/fed/ml
26